2026年10月20日 在10月2日星期五上午09:35，333个感染的出口节点开始了一场协调的攻击，旨在拦截SSH连接并尽可能多地收集未加密的数据。为了让你了解这个规模，整个Tor网络大约有3000个出口中继，换句话说，约10%在他们的控制之下。攻击者在两个月前的8月获得了服务器的访问权限，并悄悄地部署了他们的Ebury 1.8.3有效载荷（一个针对Linux的OpenSSH后门和凭证窃取器）。 攻击 此攻击似乎有两个主要目标： 收集尽可能多的未加密邮件流量 拦截SSH连接（中间人攻击） 通过阻塞某些端口，他们使他们的出口节点仅处理未加密的邮件流量。一个受害者（资深Tor运营者）有趣的文章对此进行了详细的描述：lists.torproject.org/mailman3 在这篇文章中，我将重点关注第二个攻击，即SSH中间人攻击。如果你碰巧获得的电路通过这333个感染的出口节点，你一开始可能不会注意到任何问题。加密的网页流量按照正常方式转发，但如果你尝试通过22号端口进行SSH连接，你将不知不觉地被重定向到12个SSH拦截服务器之一。周五早上，我就是这么被重定向的。我收到了这个警告： @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ 警告：远程主机身份已更改！@ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ 有可能有人正在做一些恶意的事情！有人可能正在监听你的通信（中间人攻击）！也有可能是主机密钥刚刚被更改。远程主机发送的ED25519密钥的指纹是SHA256:6baCZCPsl+AfQuujUS81fMEE/C7UeJ+AwjrImqmDB3E。请联系你的系统管理员。 但是如果你忽略警告继续登录，攻击者会做三件事： 窃取你的密码 打开一个连接到你的服务器并观察你输入的每一个命令（中间人攻击） 打开第二个连接到你的服务器并感染它，传送Ebury 使他们被删除 在星期五晚上，我联系了Tor项目的网络健康团队，并分享了我的发现。他们确认这是新的情况，并开始联系受影响的中继运营商。 “我们之前没有见过这样的攻击。”- Tor网络健康团队 10月2日星期五：拦截开始。 10月4日星期日：Tor网络健康团队向运营商发布了公告，运营商开始关闭他们的出口节点。 10月4日星期日：中继被标记为BadExit，因此客户将不再使用它们来退出流量。 10月5日星期一：攻击者重新启动了许多中继，但由于它们已经被标记，只能作为中间中继服务。 10月5日星期一：所有感染的服务器被关闭，部分由运营商关闭，部分由攻击者关闭。在他们的公告中，健康团队描述了这一模式：“似乎攻击者正在访问基于Linux的主机，当这些机器运行非出口时，他们编辑torrc文件并将它们转换为出口，以便能够进行SSH攻击。” - Tor网络健康在公告中 你可以看到这333个出口节点被关闭的影响。近年来，metrics.torproject.org上10月4日的显著下降是显而易见的，之后一直没有恢复。 考虑运行一个中继：community.torproject.org/relay/setup/ 技术部分：我如何找到它们 在这一部分中，我将详细介绍我如何找到所有受到感染的出口节点。使用exitmap，我构建了一个简单的脚本，做了以下操作：它固定了一个出口节点，然后从我的服务器A到我的服务器B打开了一个SSH连接。服务器A检查是否从服务器B接收到了正确的SSH指纹。服务器B检查连接是否来自固定的出口节点或12个SSH拦截服务器中的一个。我对大约3000个出口中继中的每一个都运行了这个脚本。大约有十个提供了伪造的指纹，并且300多个没有拦截任何东西，但通过那些相同的拦截服务器进行了重定向。单靠重定向就足以确认出口受到感染。 在进一步的分析中，我使用sshesame作为蜜罐。通过诱使中间人登录蜜罐，显示他们使用paramiko（一个Python SSH库），以及他们如何尝试使用Perl安装Ebury。> echo "U=$(id -u) S=$(command -v sudo >/dev/null 2>&1 && (sudo -n true 2>/dev/null && echo nopass || echo maybe) || echo none)" > sudo bash -c 'echo <base64> | base64 -d | perl' 首先检查权限，然后执行一个经过base64编码的命令。 未解答的问题 最大的问题仍然是他们最初是如何进入所有这些服务器的。一种理论是，托管公司本身遭到黑客攻击（在此讨论：lists.torproject.org）。但这只是一种流传的理论。事实上，没人真正知道。另一个问题是背后是谁。使用Ebury和广泛收集未加密数据的行为指向一个财务动机的犯罪团伙。